IKEv2-profiel gedefinieerd maar niet gekoppeld: volg de keten

Het IKEv2-profiel staat in de opgeslagen configuratie, de sleutelring is er ook, en de tunnel komt toch niet omhoog. Op Cisco IOS XE is een profiel een object dat keuzes voor identiteitsmatching en authenticatie draagt, en een object doet niets tot een ander object ernaar verwijst en een interface dat object aan een pad koppelt. De meeste mislukte debug-sessies voor fase 1 slaan een van die verwijzingen over. Lees de keten van de sleutelring naar buiten voordat u een voorstel of beleid wijzigt.

Wat een profielobject werkelijk is

Het IKEv2-profiel bevat de matching van de externe identiteit, de lokale en externe authenticatiemethoden en een verwijzing naar een sleutelring voor ontwerpen met een vooraf gedeelde sleutel. Het beschrijft hoe een peer wordt herkend en hoe die zich bewijst, en het noemt geen interface.

De sleutelring is een apart object dat de vooraf gedeelde sleutels bevat. De crypto map of het IPsec-profiel is een derde object dat naar het IKEv2-profiel verwijst en de beveiligingsinstellingen levert. De interfacekoppeling is de vierde stap, waarbij een crypto map wordt toegepast of tunnel protection wordt ingeschakeld. Elke sprong is een afzonderlijke verwijzing, en een ontbrekende sprong laat elk object op zichzelf correct lijken.

Volg de verwijzingsketen in volgorde

Begin bij de sleutelring die het profiel noemt, bevestig dan de profielnaam waarnaar de crypto map of het IPsec-profiel verwijst, en zoek daarna de interface die dat laatste object gebruikt. Schrijf elke naam naast het object dat hem gebruikt; die korte lijst is nuttiger dan controleren of elk verwacht blok ergens in de configuratie bestaat.

De gebruikelijke breuken zijn mechanisch. Een profielnaam verschilt één teken van degene waarnaar de crypto map verwijst. De crypto map bestaat maar is nooit op de interface toegepast. Het commando tunnel protection wijst naar een IPsec-profiel dat naar een ander IKEv2-profiel verwijst. Een responder zonder expliciete koppeling is een gedocumenteerd geval, maar een initiator zonder koppeling is simpelweg niet voor het pad geconfigureerd.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lees het fragment als een keten en niet als een sjabloon. De interface noemt het IPsec-profiel, het IPsec-profiel noemt het IKEv2-profiel, en het IKEv2-profiel noemt de sleutelring. Breek een van die namen en de configuratie wordt nog steeds geparseerd, daarom accepteert de router hem en blijft de tunnel omlaag.

Crypto map en tunnel protection zijn alternatieven

Cisco documenteert twee koppelingsvarianten. Een crypto map kan op een interface worden toegepast en kan via het set-commando naar het IKEv2-profiel verwijzen. Tunnel protection koppelt een IPsec-profiel aan een tunnelinterface. Beide zijn geldig, en ze zijn niet bedoeld om samen als dubbele beveiliging te worden geïnstalleerd.

De bron en bestemming van de tunnel bepalen de buitenste afleveringsvariant, en ze staan los van de beveiligingskoppeling. Een LAN-interface, de tunnelinterface en de buitenste broninterface spelen drie verschillende rollen. Een crypto map op de LAN-interface beschermt de tunnel niet, en een tunnel met beveiliging aan maar zonder bereikbaar bronadres stuurt nooit een pakket naar zijn peer.

Inspecteer de geladen toestand, niet alleen de tekst. De geïnstalleerde release heeft commando's die de geconfigureerde objecten aan de onderhandelde sessie koppelen, en die moet u in een ticket citeren. Een opgeslagen configuratie bewijst de bedoeling; een sessietabel bewijst het pad.

De responder-uitzondering is geen regel voor initiators

De IOS XE-gids merkt op dat een expliciete IKEv2-profielkoppeling op een responder optioneel kan zijn. Die uitzondering haalt authenticatie of identiteitscontroles niet weg, en maakt het profiel aan de kant die de verbinding start niet optioneel.

Als uw router initieert, behandel de koppeling dan als verplicht en volg hem van begin tot eind. Als uw router alleen antwoordt, bevestig welk profiel werkelijk bij de inkomende peer paste, want een responder kan een profiel op identiteit selecteren in plaats van op interfacereferentie.

Controleer het pad, niet de opgeslagen configuratie

Als de koppelingen kloppen, test dan één toegestane toepassing en noteer de interne bron, bestemming en route. Een verzoek dat de router zelf start kan een ander bronadres gebruiken dan verkeer dat van de LAN wordt doorgestuurd, en de beveiligingsscope dekt misschien maar één van beide.

Een correct gekoppelde definitie bewijst niet dat de selectors, de retourroute en het interfacebeleid uw verkeer dekken. Stuur echt verkeer en lees de onderhandelde toestand, en herhaal dat na een herverbinding zodat u weet dat de keten een nieuwe onderhandeling overleeft. Houd de uitleg binnen IOS XE IKEv2; een historische IKEv1 crypto map-implementatie heeft een ander objectmodel en moet niet met deze keten worden gedebugd.

Schrijf de vier namen in het wijzigingsregister wanneer de tunnel werkt. De volgende persoon die de crypto map aanraakt heeft ze nodig, en de keten is het deel van het ontwerp dat de draaiende configuratie niet uitlegt.